SASE SASE nierówne

Security Service Edge i SASE stały się synonimami „nowoczesnego bezpieczeństwa”. Obietnica jest kusząca: ujednolicona architektura, która zabezpiecza użytkowników, aplikacje i dane, niezależnie od tego, gdzie się znajdują. W wielu dyskusjach SASE traktuje się jednak jako pojedyncze, jasno zdefiniowane rozwiązanie. W rzeczywistości tak nie jest.

Często pomija się fakt, że dzisiejsze platformy SASE opierają się na bardzo różnych założeniach architektonicznych. Te założenia mają znaczenie. Określają one, które problemy platforma rozwiązuje elegancko — a które problemy w ogóle nie były uwzględnione w jej projekcie.

Zamiast pytać, które rozwiązanie SASE jest najlepsze, bardziej przydatne jest pytanie: najlepsze do czego?

Architektura oparta na firewallu a podejście „cloud-first”

Ogólnie rzecz biorąc, obecne rozwiązania SASE wywodzą się z dwóch różnych linii architektonicznych.

Pierwsza z nich wywodzi się z tradycyjnych zabezpieczeń sieciowych. Dostawcy tacy jak Fortinet i Palo Alto Networks rozwinęli koncepcję SASE w oparciu o swoje wieloletnie doświadczenie w zakresie firewalli, segmentacji i kontroli ruchu. Ich platformy rozszerzają znane mechanizmy zabezpieczeń na chmurę, zachowując jednocześnie spójny model polityk i kontroli w fizycznych lokalizacjach, centrach danych i wśród użytkowników zdalnych.

To podejście „firewall jako DNA” nie jest ograniczeniem; w wielu środowiskach stanowi celową zaletę. Odzwierciedla ono rzeczywistość, w której sieci, lokalizacje i lokalne przepływy ruchu nadal mają znaczenie. Z biegiem czasu obaj dostawcy dodali dojrzałe funkcje Zero Trust, usługi bezpieczeństwa dostarczane w chmurze oraz komponenty SSE, ale zawsze opierając się na modelu, w którym kontrola sieci pozostaje priorytetem.

Druga grupa dostawców, w tym Zscaler i Netskope, obrała inną ścieżkę. Ich platformy zostały zaprojektowane od samego początku jako globalne usługi bezpieczeństwa w chmurze, bez uzależnienia od fizycznych lub wirtualnych zapór sieciowych. Zamiast rozszerzać kontrolę sieciową na chmurę, abstrakcyjnie traktują sieć i skupiają się na użytkownikach, tożsamościach, aplikacjach i danych.

W tych platformach model Zero Trust nie jest nakładany na istniejące mechanizmy kontroli, ale wbudowany w sam model dostępu. Decyzje są podejmowane dla każdej sesji i aplikacji, przy minimalnym nacisku na topologię sieci.

Gdzie architektura SASE oparta na firewallu sprawdza się najlepiej

W przypadku organizacji o rozległej infrastrukturze fizycznej architektury SASE oparte na firewallu często najlepiej odpowiadają rzeczywistym warunkom operacyjnym.

Branże takie jak hotelarstwo, handel detaliczny, opieka zdrowotna i edukacja zazwyczaj obsługują dużą liczbę lokalizacji z lokalnymi użytkownikami, urządzeniami i usługami. W tych środowiskach ruch nie kieruje się wyłącznie do platform SaaS. Często występuje znaczny ruch typu east-west, wymagania dotyczące lokalnego wyjścia z sieci, systemy starszego typu oraz potrzeba ścisłej integracji między kontrolami sieci przewodowych, bezprzewodowych i zabezpieczeń.

W tym przypadku platformy firm Fortinet lub Palo Alto Networks oferują spójny model. Zapory sieciowe na obrzeżach sieci, w połączeniu z SD-WAN, integracją LAN/WLAN i usługami bezpieczeństwa dostarczanymi w chmurze, pozwalają organizacjom rozszerzyć zasady Zero Trust bez rezygnacji ze sprawdzonych architektur sieciowych. Co ważne, zespoły ds. bezpieczeństwa nie muszą wybierać między ochroną lokalizacji a ochroną użytkowników — obie te kwestie są częścią tego samego projektu.

Krótko mówiąc, gdy fizyczne lokalizacje mają znaczenie, włączenie zapory sieciowej do SASE nie jest kompromisem, ale koniecznością.

W jakich przypadkach platformy typu SSE-first sprawdzają się najlepiej

Rozwiązania firm Zscaler i Netskope zazwyczaj sprawdzają się najlepiej w odmiennych scenariuszach.

Ich architektury są szczególnie dobrze dostosowane do potrzeb organizacji, które stawiają na chmurę lub oprogramowanie SaaS, mają silnie rozproszoną kadrę pracowniczą i stosunkowo ograniczoną infrastrukturę lokalną. Do tej kategorii często zaliczają się firmy technologiczne, przedsiębiorstwa świadczące usługi profesjonalne oraz organizacje działające na skalę globalną, w których znaczna część pracowników pracuje zdalnie.

W takich środowiskach topologia sieci ma mniejsze znaczenie niż tożsamość, stan urządzeń i dostęp do danych. Użytkownicy łączą się bezpośrednio z usługami w chmurze, często z urządzeń niezarządzanych lub częściowo zarządzanych, a tradycyjne środki kontroli bezpieczeństwa oparte na lokalizacji nie wnoszą większej wartości. Platformy typu SSE-first upraszczają tę sytuację, przenosząc egzekwowanie zasad do chmury i stosując spójną politykę niezależnie od lokalizacji użytkownika.

Kolejnym obszarem, w którym platformy te wyróżniają się, jest bezpieczeństwo danych. Dogłębny wgląd w wykorzystanie usług SaaS, mechanizmy kontroli wbudowane w przepływ danych oraz oparte na interfejsach API, a także silny nacisk na klasyfikację i ochronę danych sprawiają, że są one szczególnie skuteczne tam, gdzie zarządzanie danymi i zgodność z przepisami są głównymi priorytetami.

W przypadku organizacji, w których użytkownicy i dane mają większe znaczenie niż lokalizacja, wyodrębnienie funkcji zapory sieciowej może zmniejszyć złożoność, a nie ją zwiększać.

Pełne spektrum, a nie wybór zero-jedynkowy

W praktyce niewiele organizacji idealnie wpisuje się w jedną kategorię. Wiele z nich prowadzi kampusy i oddziały, jednocześnie zapewniając wsparcie dla wysoce mobilnej kadry. W rezultacie coraz powszechniejsze stają się hybrydowe architektury SASE, łączące rozwiązania oparte na zaporach sieciowych dla lokalizacji z platformami opartymi na SSE, służącymi do zdalnego dostępu i zabezpieczeń SaaS.

Ten trend podkreśla ważną kwestię: SASE nie jest kategorią produktów z wymiennymi komponentami. Jest to struktura architektoniczna, która wymusza kompromisy. Zrozumienie założeń projektowych każdej platformy jest zatem ważniejsze niż porównywanie list funkcji.

Wnioski

Nie wszystkie rozwiązania SASE są takie same – nie dlatego, że niektóre platformy są lepsze od innych, ale dlatego, że zostały stworzone z myślą o różnych realiach. Architektury SASE oparte na firewallach zapewniają kontrolę nad siecią, spójność i integrację w środowiskach, w których fizyczne lokalizacje nadal odgrywają kluczową rolę. Platformy oparte na podejściu SSE sprawdzają się najlepiej tam, gdzie wyzwania związane z bezpieczeństwem wynikają z kwestii tożsamości, dostępu do chmury i ochrony danych.

Wybór między nimi jest nie tyle związany z dojrzałością technologiczną, a bardziej z kontekstem organizacyjnym. Gdy architektura jest zgodna z rzeczywistością, SASE może upraszczać bezpieczeństwo. Gdy nie jest, po prostu przenosi złożoność gdzie indziej.